Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) i####.doub####.com:80
- TCP(HTTP/1.1) pic.china####.com:80
- TCP(HTTP/1.1) tu####.tupi####.com:80
- TCP(HTTP/1.1) qr.li####.com.####.com:80
- TCP(HTTP/1.1) qu####.com:80
- TCP(HTTP/1.1) 1####.w####.cname####.com:80
- TCP(SSL/3.0) p.ssl.q####.com:443
- TCP(TLS/1.0) pan.b####.com:443
- TCP(TLS/1.0) p.ssl.q####.com:443
- TCP(TLS/1.0) cdn-boo####.b0.a####.com:443
- TCP(TLS/1.0) i####.doub####.com:443
- TCP(TLS/1.0) fex.bdst####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) i.l####.net:443
- TCP(TLS/1.0) ss0.bdst####.com:443
- TCP(TLS/1.0) g####.bdst####.com:443
- TCP(TLS/1.0) wap.n.sh####.com:443
- TCP y1.ey####.com:7071
- TCP y1.ey####.com:7073
- TCP y1.ey####.com:7072
Запросы DNS:
- cdn.boo####.com
- dy####.com
- fex.bdst####.com
- g####.bdst####.com
- g####.bdst####.com
- hm.b####.com
- i####.doub####.com
- i.l####.net
- l####.tbs.qq.com
- m.b####.com
- mt####.go####.com
- p.ssl.q####.com
- pan.b####.com
- pic.china####.com
- qr.li####.com
- qu####.com
- ss0.bdst####.com
- ti####.b####.com
- tu####.tupi####.com
- ww1.sin####.cn
- wx1.sin####.cn
- wx2.sin####.cn
- y1.ey####.com
- y2.ey####.com
- y3.ey####.com
Запросы HTTP GET:
- 1####.w####.cname####.com/gx.php
- 1####.w####.cname####.com/xdysqgx.php
- i####.doub####.com/large/7d172de2gy1fgq64957i0j208c0c940m.jpg
- i####.doub####.com/small/d9b785ccgy1fl79941l3zj207i0b5dij.jpg
- i####.doub####.com/view/photo/s_ratio_poster/public/p2505928032.jpg
- i####.doub####.com/view/photo/s_ratio_poster/public/p2511036531.jpg
- pic.china####.com/pic/upload/vod/2018-04/15232858691.jpg
- qr.li####.com.####.com/api.php?text=####
- qu####.com/
- qu####.com/jz.jpg
- qu####.com/jzad
- qu####.com/play/15235386111193441441.html
- qu####.com/player/ckplayer/ckplayer.js
- qu####.com/player/js/jquery-3.2.1.min.js
- qu####.com/player/m3u8.php?url=####
- qu####.com/public/static/17/css/stui_block.css
- qu####.com/public/static/17/css/stui_custom.css
- qu####.com/public/static/17/css/stui_default.css
- qu####.com/public/static/17/font/iconfont.css
- qu####.com/public/static/17/font/iconfont.svg?t=####
- qu####.com/public/static/17/font/iconfont.ttf?t=####
- qu####.com/public/static/17/icon/icon_1.png
- qu####.com/public/static/17/icon/icon_12.png
- qu####.com/public/static/17/icon/icon_2.png
- qu####.com/public/static/17/icon/icon_26.png
- qu####.com/public/static/17/icon/icon_6.png
- qu####.com/public/static/17/icon/icon_7.png
- qu####.com/public/static/17/images/favicon.ico
- qu####.com/public/static/17/images/home.png
- qu####.com/public/static/17/images/logo.png
- qu####.com/public/static/17/images/logo_min.png
- qu####.com/public/static/17/images/play.png
- qu####.com/public/static/17/js/jquery.SuperSlide.js
- qu####.com/public/static/17/js/stui_default.js
- qu####.com/wsl.png
- tu####.tupi####.com/pic/upload/vod/2018-03-28/201803281522246880.jpg
- tu####.tupi####.com/pic/upload/vod/2018-03-31/201803311522507199.jpg
Запросы HTTP POST:
- l####.tbs.qq.com/ajax?c=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/001.jar
- /data/data/####/356507059351895yd.db-journal
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/WebpageIcons.db-journal
- /data/data/####/aypa0000.xml
- /data/data/####/ayqa0000.xml
- /data/data/####/ayqb0000.xml
- /data/data/####/core_info
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/debug.conf
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/http_qulewl.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak (deleted)
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/yysa.xml
- /data/data/####/yysa356507059351895.xml
- /data/data/####/yysb356507059351895.xml
- /data/data/####/yysc356507059351895.xml
- /data/media/####/.nomedia
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- cstrw3450ypguiljkcgdue564
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
